p PatchFirst

CVE-2026-45805

CVE-2026-45805 · Penpot: MCP REPL server binds to 0.0.0.0 with unauthenticated /execute endpoint — RCE

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Penpot is an open-source design tool for design and code collaboration. Prior to 2.15.0, Penpot MCP's mcp/packages/server/src/ReplServer.ts bound the ReplServer to 0.0.0.0:4403 and exposed an unauthenticated /execute endpoint that passed the code field to PluginBridge.executePluginTask(), allowing anyone on the network to execute JavaScript on the server. This issue is fixed in version 2.15.0.

CVSS 8.8 · Высокий · EPSS 0,4% · Публичный эксплойт · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • penpot

    Версии
    • < 2.15.0: Затронуто

    Нет опубликованного исправления

  • @penpot/mcp npm

    Затронутые диапазоны версий
    • SEMVER: < 2.15.0

    Обновитесь до 2.15.0

Первоисточники

Проверьте свой сервер →